severity

アドバイザリーID : cisco-sa-20040113-h323

初公開日 : 2004-01-13 12:00

バージョン 1.4 : Final

回避策 : No Workarounds available

Cisco バグ ID :

CVE-2004-0056

CVE-2004-0054

CVE-2004-0097

CVE-2003-0819

Download CVRF

Email

日本語による情報は、英語による原文の非公式な翻訳であり、英語原文との間で内容の齟齬がある場合には、英語原文が優先します。

概要

複数のシスコ製品に、H.323メッセージの処理に脆弱性が存在します。H.323メッセージは通常、Voice over Internet Protocol(VoIP)またはマルチメディアアプリケーションで使用されます。このプロトコルを対象とし、脆弱性を特定するために、オウル大学によって開発されたテストスイートがあります。

H.323プロトコルのサポートは、Cisco IOSÂ®ソフトウェアリリース11.3Tで導入されました。ソフトウェアに音声/マルチメディアアプリケーションのサポートが含まれている場合、リリース11.3T以降のすべてのCisco IOSリリースが影響を受ける可能性があります。脆弱性が存在するデバイスには、ネットワーク要素としてH.323のソフトウェアサポートが含まれているデバイスや、IOSネットワークアドレス変換(NAT)用に設定されているデバイス、およびIOSファイアウォール(コンテキストベースアクセスコントロール(CBAC)としても知られる)用に設定されているデバイスが含まれます。

Cisco IOSを実行していない他のCisco音声製品も影響を受ける可能性があります。

これらの脆弱性は繰り返し悪用され、サービス拒否(DoS)を引き起こす可能性があります。

このアドバイザリは、https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20040113-h323で入手できます。

該当製品

このセクションには、該当製品に関する詳細が掲載されています。

脆弱性のある製品

Cisco IOSソフトウェアが稼働し、H.323パケット処理をサポートするすべてのシスコ製品が影響を受けます。これには、Session Initiation Protocol(SIP)またはMedia Gateway Control Protocol(MGCP)が設定されたデバイスが含まれます。これらのプロトコルのサポートにより、H.323のサポートが可能になるためです。「PLUS」機能セットを持つCisco IOSイメージは、デフォルトでH.323を有効にし、プロトコルをオフにできないバグが原因で、設定に関係なく脆弱な場合があります。

Cisco IOSソフトウェアを実行しないその他の該当製品には、次のものがあります。

- Cisco CallManagerバージョン3.0 ～ 3.3

- Cisco Conference Connection（CCC）

- Cisco Internet Service Node（ISN）

- Cisco BTS 10200 Softswitch

- Cisco 7905 IP Phone H.323ソフトウェアバージョン1.00

- 2.16.1より前のバージョンのH.323/SIPロードを実行しているCisco ATA 18xシリーズ製品

注：Cisco ATA 18xシリーズ製品は、H.323用に設定されている場合にのみ脆弱性が存在します。SIP用に設定されている場合は、脆弱性の影響を受けません。

Cisco 製品で稼働しているソフトウェアを確認するには、デバイスにログインし、show version コマンドを発行してシステム バナーを表示します。Cisco IOS ソフトウェアは「Internetwork Operating System Software」または単に「IOS」と表示されます。 出力の次の行では、イメージ名がカッコで囲まれて表示され、その後に「Version」とIOSリリース名が続きます。その他の Cisco デバイスには show version コマンドがないか、異なる出力が返されます。

次の例は、Cisco IOSソフトウェアリリース12.0(3)を実行し、インストールされているイメージ名がC2500-IS-Lであるシスコ製品を示しています。リリーストレインラベルは12.0です。

Cisco Internetwork Operating System Software IOS (TM)

2500 Software (C2500-IS-L), Version 12.0(3), RELEASE SOFTWARE

次の例は、Cisco IOSソフトウェアリリース12.0(2a)T1を実行し、イメージ名がC2600-JS-MZである製品を示しています。

Cisco Internetwork Operating System Software IOS (tm)

C2600 Software (C2600-JS-MZ), Version 12.0(2a)T1, RELEASE SOFTWARE (fc1)

Cisco IOSバージョンの命名規則の詳細については、http://www.cisco.com/warp/public/620/1.htmlを参照してください。

Cisco IOSバージョン10.x、11.1、11.2以前を実行している場合は、この問題には該当しません。

H.323トラフィックのCisco IOS処理

IOSが不正なH.323パケットに対して脆弱になる可能性がある領域が3つあります。次のセクションを読んで、ご使用のルータが該当するかどうかを確認してください。TACケースをオープンする必要がある場合は、推奨される識別手順の出力をキャプチャして、ケースの解決を迅速化してください。

注：H.323トラフィックがルータに入るのを防ぐために、アクセスリストを使用してH.323トラフィックをブロックすることを選択した場合は、このアドバイザリで説明されている脆弱性からデバイスを保護することになり、以下に示す詳細は適用されません。これを行う方法の詳細については、「回避策」のセクションを参照してください。お客様には、できるだけ早い時期に適切なIOSイメージにアップグレードすることを推奨します。

Cisco IOSデバイスがH.323トラフィックを処理しており、脆弱である可能性があるかどうかを判断するには、Cisco IOSソフトウェアがH.323トラフィックを処理する3つの異なる方法を理解する必要があります。

1. H.323エンドポイント

これには、H.323ゲートウェイ、H.323ゲートキーパー、およびプロキシ付きH.323ゲートキーパーが含まれます。また、設定されていない状態でH.323プロセスをデフォルトで実行できるリリースも含まれます。次の手順に従って、お使いのデバイスが該当するかどうかを確認してください。

イネーブルプロンプトからshow process cpuコマンドを実行し、CCH323_CTという名前のプロセスを探します。Cisco IOSソフトウェアの新しいバージョンでは、show process cpu | include CCH323。

Router# show process cpu | include CCH323

112 Mwe 60F3E5E0       295112     239401    123220072/24000  0 CCH323_CT

注：「PLUS」機能セットを持つイメージ（IP PLUS、ENTERPRISE PLUSなど）のみが音声をサポートし、CCH323_CTプロセスが実行されます。12.0では、「PLUS」機能セットには、2600および3600プラットフォームでデフォルトで実行されるCCH323_CTプロセスがあります。12.1以降では、音声カードまたはDSPカードを挿入している場合、デフォルトでこのプロセスが実行されます。

- CCH323_CTというaプロセスが表示される場合は、ルータが影響を受けます。ご使用のデバイスに適したバージョンを判断するには、IOSの表を参照してください。すぐにアップグレードできない場合は、次の回避策が有効です

– ネットワーク内でH.323を使用していない場合は、TCPポート1720をブロックする着信アクセスリストによってルータが保護されますが、実現可能な時点で早期にアップグレードすることを推奨します。

- H.323を使用している場合は、アクセスリストを設定して、TCPポート1720のトラフィックを既知の信頼できるIPアドレスに制限できます。繰り返しになりますが、できるだけ早くアップグレードすることが推奨されます。

- CCH323_CTプロセスが表示されない場合でも、脆弱性が存在する可能性があります。H.323ゲートキーパーの一部の設定には脆弱性が存在します。該当する設定は、H.323プロキシ用に設定されたゲートキーパーです。ゲートキーパーとして設定されているかどうかを確認するには、グローバル設定で「proxy h323」という行の設定を確認します。「proxy h323」が設定されている場合は、脆弱です。

- GKプロキシ機能を使用していない場合は、次の設定を行ってプロキシ機能を無効にできます。

注：これは、ゲートキーパーで管理されているすべてのコールをドロップします。ゲートキーパーの機能を安全に停止できる場合にのみ、この手順を実行してください。

Router(config)#no proxy h323

Router(config)#gatekeeper

Router(config-gk)#shutdown

Router(config-gk)#no shutdown

- H.323プロキシを使用している場合、TCPポート1720トラフィックを既知の信頼できるIPアドレスに制限するようにアクセスリストを設定するか、IOSバージョンをアップグレードします。

2. IOSファイアウォール（コンテキストベースアクセスコントロール）

IOSデバイスがIOSファイアウォール(IOS FWまたはContext-Based Access Control(CBAC))を使用するように設定されている場合は、show ip inspect allコマンドを発行して、IOS FWがデバイスで実行されているかどうかを確認します。IOS FWがインターフェイスに適用されていることを示す次の行を探します。この場合、インスペクションルール「<NAME>」がインターフェイスFastEthernet0/0のインバウンドに適用されます。

Interface Configuration

Interface FastEthernet0/0

Inbound inspection rule is <NAME>

tcp alert is on audit-trail is off timeout 3600

h323 alert is on audit-trail is off timeout 3600

Outgoing inspection rule is not set

- インターフェイスFastEthernet0/0で着信IOS FW(CBAC)をオフにするには、インターフェイスコンフィギュレーションモードで次のコマンドを入力します。

Router#config t

Router(config)#Interface FastEthernet 0/0

Router(config-if)#no ip inspect

in

- アウトバウンドIOS FW(CBAC)がFastEthernet0/0に設定されている場合は、インターフェイスコンフィギュレーションモードで次のコマンドを入力します。

Router#config t

Router(config)#Interface FastEthernet 0/0

Router(config-if)#no ip inspect

out

- 他のIOS FWの動作に影響を与えずに、H.323メッセージのIOS FW(CBAC)処理だけをオフにするには、グローバルコンフィギュレーションモードで次のコマンドを入力します。

Router(config)#no ip inspect name

h323

シスコでは、できるだけ早くIOSをアップグレードすることを推奨しています。

3. IOSネットワークアドレス変換(NAT)

NATルールを設定し、任意のインターフェイスでNATをアクティブにしている場合は、show ip nat statisticsコマンドを発行して、NATがデバイスで設定され、アクティブになっているかどうかを確認します。

Router#show ip nat statistics

Total active translations: 3 (3 static, 0 dynamic; 0 extended

Outside interfaces

Inside interfaces

Hits: 0  Misses: 0

Expired translations: 0

Dynamic mappings:

- 出力がない場合、または出力に（上記の例のように）内部インターフェイスまたは外部インターフェイスがリストされない場合、IOSデバイスはNATを実行しておらず、NATによる脆弱性はありません。

- 出力にinsideまたはoutsideインターフェイスが表示される場合は、NATが原因で脆弱性が存在する可能性があります。次に例を示します。

Total active translations: 3 (3 static, 0 dynamic; 0 extended

Outside interfaces:

Serial3/0

Inside interfaces:

Serial1/0

Hits: 0  Misses: 0

Expired translations: 0

Dynamic mappings:

- 設定にPort Address Translation（PAT；ポートアドレス変換）ステートメントだけが含まれ、PATステートメントでPAT変換にTCPポート1720が明示的に指定されていない場合、NATの影響を受けてnotという脆弱性が存在します。

- PATのみを実行しているかどうかを確認するには、overload、route-map、またはextendableキーワードを使用せずに、IOS NAT設定に次のNATルールのいずれかが含まれているかどうかを確認します。

ip nat outside source ...

ip nat inside destination ...

ip nat inside source ...

overload、route-map、またはextendableキーワードを付けずに上記の行のいずれかが表示される場合は、脆弱です。

- H.323（TCPポート1720）に対してスタティックPATを実行しているかどうかを確認するには、次のパターンの行を探します。

ip nat (inside|outside) source static tcp

ip-addr (port|1720) ip-addr (1720|port)
次の例は脆弱です。

ip nat inside  source static tcp 10.1.0.1 1720 10.2.0.1 5834

ip nat outside source static tcp 10.15.12.1 6884 10.6.7.1 1720

ip nat inside  source static tcp 10.1.0.17 1720 10.33.14.1 1720
次の例は、脆弱性が存在しない場合です。

ip nat inside  source static tcp 10.1.0.17 53 10.33.14.1 53

ip nat outside source static udp 10.1.14.75 1720 10.131.1.1 6888
脆弱性が存在する設定行がある場合は、「回避策」セクションを参照してください。

特定のCisco IOSリリースに脆弱性が存在するかどうかを確認するには、次の「ソフトウェアバージョンと修正」セクションのリストを参照して、製品で該当バージョンのソフトウェアが実行されているかどうかを確認します。

脆弱性を含んでいないことが確認された製品

次のシスコ製品のリストは、お客様がこれらの脆弱性に関して懸念する可能性がある製品をリストするために提供されています。次の製品は、脆弱性が存在しないか、H.323処理をサポートしていないため、影響を受けません。脆弱性が存在することが確認されていない、または次のリストから除外されている他のシスコ製品は、これらの脆弱性の影響を受けることが確認されている他のシスコ製品と同様に、脆弱性が存在しないと判断する必要があります。

- Cisco IP Phoneモデル7960、7940、7912、7910、7902、30VIP、および12SP+

- Cisco uOne（すべてのバージョン）

- VG248 Analog Phone Gateway

- Cisco Unityサーバ

- Catalyst 6000 WS-X6608 Voice Services ModuleおよびWS-X6624 FXS Analog Station Interface Module

- PGW2200、SC2200、VSC3000、およびH.323シグナリングインターフェイス(HSI)

- Cisco IP/VC 3500シリーズ

- IP/TVシリーズ

- Catalyst 19xx、28xx、290x、292x、2948g、3000、3200、3900、4000、4912g、および5000シリーズスイッチ

- Catalyst 2900XL、2900XL-LRE、2940、2950、2950-LRE、2955、2970、3500XL、3550、および3750シリーズスイッチ

- Cache Engineシリーズ

- Content Engineシリーズ

- SN5400シリーズストレージルータ

- VPN 3000およびVPN 5000シリーズVPNコンセントレータ

- 音声インターワーキング サービス モジュール（VISM）

- VCO/4K

- Cisco Secure Intrusion Detection System(NetRanger)アプライアンスおよびIDSモジュール

- BR340、WGB340、AP340、AP350、およびBR350 Cisco/Aironetワイヤレス製品

- Cisco Aironet 1100シリーズ、1200シリーズ、および1400シリーズワイヤレス製品

- Cisco PIX ファイアウォール

- Cisco Catalyst 6500 シリーズ ファイアウォール サービス モジュール

- CBOSを実行しているCisco 6xxシリーズDSLモデム

- Cisco 7xxシリーズルータ

- Cisco 12000 シリーズ ルータ

- Cisco 10000 シリーズ ルータ

- 61xxおよび62xxシリーズDSLAM

- Cisco CSS11xxxシリーズ（SSLアクセラレータを含む）

- LocalDirector

- BPX、IGX、MGX WANスイッチ、およびサービス拡張シェルフ

- Cisco Intelligent Contact Management（ICM）

- Cisco ONS 15xxxプラットフォーム

詳細

H.323は、パケットベース(IP)ネットワークを介したリアルタイムマルチメディア通信および会議のための国際電気通信連合(ITU)標準です。H.323標準のサブセットはH.225.0です。H.225.0は、IPネットワーク上のコールシグナリングプロトコルとメディアストリームのパケット化に使用される標準です。

H.225.0標準では、Abstract Syntax Notation One(ASN.1)を使用して、コールセットアップ、コール制御、および通信のメッセージ形式を定義しています。ISDNネットワークでのコールシグナリング用に開発されたITU標準Q.931は、H.225.0内のコールセットアップメッセージの標準としても使用されます。

University of Oulu Secure Programming Group(OUSPG)は、H.323メッセージ、具体的にはH.225.0およびQ.931メッセージのテストスイートを作成し、H.323メッセージの処理における脆弱性の予防的な検出と解決をサポートしています。テストスイートは通常、プロトコルを分析し、プロトコルの実装内のさまざまな設計制限をプローブするメッセージを生成するために使用されます。H.323プロトコルデータユニット(PDU)のさまざまなフィールドに過度に長いまたは例外的な要素を含むテストパケットをプログラムで生成し、テスト対象のネットワークデバイスに送信できます。H.323用のPROTOSテストスイートは、配布されており、約4500の個別のテストケースが含まれています。

該当する製品で発見された脆弱性は、H.323用のOUSPG PROTOSテストスイートを使用して、簡単かつ繰り返し実証できます。このアドバイザリで説明されている脆弱性の最大のグループは、H.225.0メッセージが該当システムで受信および処理される際の不十分なチェックに起因します。該当システムが受信した不正なH.225.0メッセージにより、さまざまな解析および処理機能が失敗し、ほとんどの状況でシステムクラッシュおよびリロード（またはリブート）が発生する可能性があります。

通常、H.323ネットワーク要素は、ポート1720でUDPとTCPの両方の転送にコールシグナリングを実装します。OUSPGのH.323テストスイートは、デフォルトではポート1720でのTCP実装のみをテストします。

Cisco IOS

Cisco IOS ソフトウェア リリース

脆弱性の説明

11.1、11.2、11.3、12.3

脆弱性なし

11.3T、12.0、12.0S、12.0T、12.1、12.1T、12.1E、12.2、12.2S、12.2T

脆弱性は、H.323ネットワークエレメントトラフィックの処理に存在します。これには、H.323ゲートウェイ、H323ゲートキーパー、およびプロキシを使用するH.323ゲートキーパーが含まれます。

12.1、12.1E、12.2、12.2T、12.2S、12.3T

脆弱性は、H.323 IOS NATトラフィックの処理に存在します。

12.0、12.1、12.1E、12.2、12.2T、12.2S

脆弱性は、H.323 IOS Firewall(CBAC)トラフィックの処理に存在します。

H.323ダイヤルピアエンドポイントとして機能するデバイスに対するCisco IOSの脆弱性は、Bug ID CSCdt09262（登録ユーザ専用）、CSCdt54401(登録ユーザ専用)、CSCdw14262(登録ユーザ専用)、CSCdx76632(登録ユーザ専用)、CSCea19885（登録ユーザ専用）に記述されています。 )、CSCea32240（登録ユーザ専用）、CSCea36231（登録ユーザ専用）、CSCea33065（登録ユーザ専用）、CSCea42826（登録ユーザ専用）、CSCea42527（登録ユーザ専用）、CSCea44227（登録ユーザ専用）、CSCea77253（登録ユーザ専用）、CSCea44309（登録ユーザ専用）、CSCec46342 79541（登録ユーザ専用）。

プロキシが設定されたH.323ゲートキーパーとして機能するCisco IOSデバイスについては、次のBug IDで脆弱性が文書化されています。CSCea51076(登録ユーザ専用)、CSCea51030(登録ユーザ専用)、およびCSCea54851(登録ユーザ専用)。

H.323 v3/4トラフィックでNAT変換を実行するCisco IOSデバイスには、脆弱性が存在する可能性があります。12.2Tに基づくリリースは、12.2(11)T以降に基づくIOSのバージョンを実行していて、隠しコマンドip nat service h323allが有効になっている必要があります。このコマンドのデフォルトの条件は無効です。12.1および12.1Eに基づくリリースでは、デバイスは外部インターフェイスから内部インターフェイスに送信されるパケットに対してのみ脆弱です。つまり、ネットワークは、スタティック変換が設定され、ポート1720への接続を受け入れる場合にのみ脆弱になります。ポート1720でダイナミック変換を実行できますが、攻撃トラフィックは元のフローの宛先アドレスから戻る必要があり、変換がアクティブな間はルータを通過する必要があります。ダイナミック変換の露出を減らす方法については、「回避策」のセクションを参照してください。

IOS 12.1以降のH.323パケットでNATを実行するデバイスに対するCisco IOSの脆弱性は、Bug ID CSCdr48143（登録ユーザ専用）、CSCdx40184(登録ユーザ専用)、CSCea27536（登録ユーザ専用）、CSCec76694 28873(登録ユーザ専用)にされています。

12.1以降のIOSでH.323パケットのディープパケットインスペクションを実行しているIOSファイアウォールフィーチャセットを実行しているデバイスに対するCisco IOSの脆弱性は、次のBug IDで文書化されています。CSCec76776(登録ユーザ専用)およびCSCec87533(登録ユーザ専用)。

Cisco CallManager

Cisco CallManagerの脆弱性は、Bug ID CSCdx82831（登録ユーザ専用）、CSCea46545(登録ユーザ専用)、およびCSCea55518(登録ユーザ専用)に記載されています。

3.1または3.2を実行しているCisco CallManagerが脆弱であるためには、発信側デバイスのIPアドレスをCallManagerのH.323ゲートウェイ、H.323クライアント、またはクラスタ間トランクとして設定するか、CallManager設定のゲートキーパーセクションで[Allow Anonymous Calls]を有効にする必要があります。CallManagerがH.225.0デバイスとして設定されていないデバイスからH.323メッセージを受信すると、H.225.0メッセージが処理される前にTCPセッションが閉じられます。ゲートキーパ設定で[Allow Anonymous Calls]が有効になっている場合、CallManagerサーバは任意の発信元からのH.225.0メッセージを解析しようとするため、脆弱です。

CallManager 3.3では、サーバは脆弱で、任意の発信元から受信したH.225.0メッセージの解析を試みますが、CallManagerはTCP 1720以外のポートでリスニングしている可能性があります。匿名コールのポート番号はTCP 1720以外の番号であるため、潜在的な攻撃者は、CallManager H.323ゲートウェイがどのランダムポートをリッスンしているかを特定して、攻撃を成功させる必要があります。

Cisco Conference Connection

Cisco Conference Connection(CCC)のすべてのバージョンが影響を受けます。現在、Cisco Conference Connection(CCC)に対するソフトウェア修正は予定されていません。CCCを実行しているお客様は、信頼できるホストからのH.323トラフィックのみを制限する回避策を実装する必要があります。この問題の回避策は、「回避策」セクションで説明されています。

Cisco Internet Service Node

インターネットサービスノード(ISN)のすべてのバージョンが影響を受けます。現在、Cisco Internet Service Node(ISN)に対するソフトウェア修正は計画されていません。ISNを実行しているお客様は、信頼できるホストからのH.323トラフィックのみを制限する回避策を実装する必要があります。この問題の回避策は、「回避策」セクションで説明されています。

Cisco 7905シリーズIP Phone

Cisco 7905 IP Phoneの脆弱性は、Bug ID CSCec77152(登録ユーザ専用)に記載されています。

Cisco ATA18xシリーズアナログテレフォニーデバイス

Cisco ATA18xデバイスの脆弱性は、Bug ID CSCea46231(登録ユーザ専用)、CSCea48726(登録ユーザ専用)、およびCSCef42352(登録ユーザ専用)に記載されています。

Cisco BTS 10200 Softswitch

Cisco BTS 10200ソフトスイッチの脆弱性は、Bug ID CSCea48755(登録ユーザ専用)に記載されています。

回避策

H.323エンドポイントおよびプロキシ設定の回避策

H.323を実行する必要がある該当デバイスには脆弱性があり、それらを保護するために使用できる特定の設定はありません。H.323トラフィックを受け入れるべきでないインターフェイスにアクセスリストを適用し、ファイアウォールを戦略的な場所に配置することで、アップグレードが実行できるまでのリスクを大幅に軽減できます。

Voice over IP SAFEのホワイトペーパーでは、音声ネットワークをインターネットから隔離するためのベストプラクティスについて説明しています。ローカルネットワーク内からの攻撃は常に潜在的なリスクと見なす必要がありますが、これによりリスクが軽減されます。

http://www.cisco.com/en/US/netsol/ns340/ns394/ns171/ns128/networking_solutions_white_papers_list.html

許可されたネットワーク以外の場所からH.323管理トラフィックをブロックするアクセスリストの例を次に示します。この例では、許可ネットワークは172.16.0.0/16です。

!--- Permit access from any IP address in the 172.16.0.0/16

!--- network to anywhere on port 1720.

access-list 101 permit tcp 172.16.0.0 0.0.255.255 any eq 1720

!--- Permit access from anywhere to a host in the

!--- 172.16.0.0/26 network on port 1720.

access-list 101 permit tcp any 172.16.0.0 0.0.255.255 eq 1720

!--- Deny all traffic from port 1720.

access-list 101 deny tcp any eq 1720 any

!--- Deny all traffic to port 1720.

access-list 101 deny tcp any any eq 1720

!--- Permit all other traffic.

access-list 101 permit ip any any

H.323トラフィックでNATを実行するIOSデバイスの回避策

該当バージョンの12.1または12.1Eコードが稼働し、スタティックNATを実行するように設定されているCisco IOSデバイスは、デバイスを介してNATによって処理される破損パケットによる攻撃に対して脆弱です。このような状況でリスクを減らしたり取り除いたりするには、いくつかの方法があります。

- 外部インターフェイスのアクセスリスト

H.323ディープパケットインスペクションは、送信元ポートまたは宛先ポートが1720のパケットに対してのみ実行されます。これらのパケットを変換したり受け入れたりする必要がない場合は、ファイアウォールなどの外部デバイスによって、またはNATを実行するデバイスの外部インターフェイスに適用された入力アクセスリストによって、これらのパケットをブロックできます。

interface serial 0/0

ip nat outside

!--- This is used to indicate which interface

!--- this configuration should be applied to.

ip access-group 101 in

!

access-list 101 deny tcp any eq 1720 any

access-list 101 deny tcp any any eq 1720

access-list 101 permit ip any any

- スタティックNAT変換でポート1720トラフィックをブロックするポリシーベースルーティング

シンプルなスタティック変換により、任意のポートでトラフィックを通過できます。スタティックNAT設定でH.323トラフィックを許可する必要はないが、外部インターフェイスへのアクセスリストの適用が現実的でない場合は、ポリシーベースルーティングを使用して、ポート1720宛てのトラフィックを再ルーティングできます。ポリシーベースルーティングはNATの前に処理されます。

この例では、アドレス1.0.0.5は、ルータがローカルネットワークアドレスにNATを実行している外部ルーティング可能なアドレスです。

interface Null0

no ip unreachables

!

interface Ethernet0/0

ip address 10.0.0.8 255.255.255.0

ip nat inside

!

interface Ethernet0/1

ip address 11.0.0.8 255.255.255.0

ip nat outside

ip policy route-map block-h323

ip nat inside source static 10.0.0.5 1.0.0.5

access-list 102 permit tcp any host 1.0.0.5 eq 1720

access-list 102 permit tcp any eq 1720 host 1.0.0.5

route-map block-h323 permit 10

match ip address 102

set interface Null0

- ダイナミックトランスレーションを使用したポート1720のブロッキング

ダイナミック変換は、オープン変換を介した元のフローの外部アドレスからの攻撃に対して脆弱ですが、ip nat translation port-timeout tcp 1720 2コマンドを使用すると、エクスポージャのリスクを減らすために迅速にタイムアウトできます。これにより、ポート1720の変換が2秒でタイムアウトし、必要なコールセットアップ要求を処理するには短すぎる可能性があります。

NATは、アクセスリストの代わりにトラフィックを照合するルートマップを使用して、ポート1720を送信元または宛先とするトラフィックを変換しないように設定できます。次に示す設定例では、10.0.0.0/24ネットワークを送信元とするトラフィックを、送信元または宛先ポートが1720のトラフィックを除き、NATプール「h323-test」内のアドレスに変換できます。

注：これにより、ユーザはNetMeetingなどのPCデスクトップからH.323対応アプリケーションにNATを使用できなくなります。このタイプの回避策を適用する際には、ネットワークと、ネットワークで使用されているアプリケーションを理解することが重要です。

interface Ethernet0/0

ip address 10.0.0.8 255.255.255.0

ip nat inside

!

interface Ethernet0/1

ip address 11.0.0.8 255.255.255.0

ip nat outside

ip nat pool h323-test 1.0.0.5 1.0.0.15 prefix-length 24

ip nat inside source route-map h323-block pool h323-test

access-list 101 deny   tcp any any eq 1720

access-list 101 deny   tcp any eq 1720 any

access-list 101 permit ip host 10.0.0.0 0.0.0.255

route-map h323-block permit 10

match ip address 101

ローカルで信頼できるホストからのH.323トラフィックを制限するためのWindowsベースのアクセスコントロールリストの定義

IPSec-H323.exeという名前の実行可能ファイルがあります。このファイルには、Microsoft Windows 2000ベースのサーバのアクセスリストの設定に役立つスクリプトが含まれています。

http://www.cisco.com/pcgi-bin/tablebuild.pl/cmva-3des?psrtdcat20e2

この回避策は、Cisco Conference Connection(CCC)とInternet Service Node(ISN)の両方で動作し、潜在的に有害なH.323パケットをブロックすることがテストされています。スクリプトの詳細については、上記のリンクにあるIPSec-H323-Readme.htmファイルも参照してください。

修正済みソフトウェア

Cisco IOS ソフトウェア

表の各行に、リリース群、および対象のプラットフォームまたは製品を示します。特定のリリーストレインに脆弱性が存在する場合は、修正を含む最初のリリースと、各リリースの提供予定日が「リビルド」、「暫定」、および「メンテナンス」の各列に表示されます。場合によっては、特定のリリースのリビルドが計画されていない場合があります。この場合、「Not scheduled」というラベルが付きます。 特定の列のリリースより前（最も古い固定リリースより前）の特定のトレインのリリースを実行しているデバイスは脆弱であることが知られており、少なくとも示されたリリースまたは新しいバージョン（最も古い固定リリースのラベルより大きい）にアップグレードする必要があります。

リリースを選択する際は、次の定義に注意してください。

- メンテナンス

表の特定の行に含まれるラベルの、最も頻繁にテストされ、強く推奨されるリリース。

- リビルド

同じトレインの以前のメンテナンスまたはメジャーリリースから構築され、特定の脆弱性に対する修正が含まれています。受け取る検査は少ないですが、修理に必要な最小限の変更しか含まれていません。シスコでは、この脆弱性に対処するために複数のメインライントレインのリビルドを提供していますが、最新のメンテナンスリリースのみをメインライントレインで実行することを強く推奨します。

- Interim

メンテナンスリリース間の定期的な間隔で構築され、受け取るテストが少なくなります。[Interims]は、この脆弱性に対処する適切なリリースが他にない場合にのみ選択し、暫定イメージは次の利用可能なメンテナンスリリースにできるだけ早くアップグレードする必要があります。暫定リリースは製品としては提供されず、通常は、Cisco Technical Assistance Center（TAC）によって事前に手配されない限り、CCO からダウンロードできません。

いずれの場合も、アップグレードする機器に十分なメモリがあること、および現在のハードウェアとソフトウェアの構成が新しいリリースで引き続き適切にサポートされていることの確認を十分に行ってください。情報が明確でない場合は、この表の次のセクションに示すように、Cisco TACに連絡して支援を求めてください。

注：  次の表の目的に従い、ID「Element」には、H.323エンドポイントとして動作し、プロキシが設定されたゲートキーパーとして動作するIOSデバイスの修正が含まれます。

リリース群

脆弱性の存在するコンフィギュレーション

修正済みリリースの入手可能性

10.xベースのリリース

脆弱性なし

11.xベースのリリース

リビルド

Interim

メンテナンス

11.0

脆弱性なし

11.1

脆弱性なし

11.1AA

脆弱性なし

11.1CA

脆弱性なし

11.1CC

脆弱性なし

11.2

脆弱性なし

11.2P

脆弱性なし

11.2SA

脆弱性なし

11.3

脆弱性なし

11.3T

11.3(3)TでH.323機能を導入

脆弱

ソフトウェア修正のスケジュールなし

12.0 への移行が必要

12.0 ベースのリリース

リビルド

Interim

メンテナンス

12.0

要素

12.0(27)

NAT

脆弱性なし

IPFW

12.0(28)

12.0D

脆弱性なし

12.0DA

脆弱性なし

12.0DC

脆弱性なし

12.0S

要素

2600/3600プラットフォームのみ

12.0(25)S1、

12.0(24)S2、

12.0(23)S3

2600/3600プラットフォームのみ

12.0(26)S

NAT

脆弱性なし

IPFW

脆弱性なし

12.0SC

脆弱性なし

12.0SL

脆弱性なし

12.0SP

脆弱性なし

12.0ST

修正は予定されておらず、2600/3600プラットフォームのみが脆弱です。

12.0SX

脆弱性なし

12.0SY

脆弱性なし

12.0SZ

脆弱性なし

12.0T

Vulnerable.修正は予定されていません。

12.0W5

脆弱性なし

12.0WC

脆弱性なし

12.0WT

脆弱性なし

12.0XC

Vulnerable.12.1(22) に移行

12.0XD

Vulnerable.12.1(22) に移行

12.0XG

Vulnerable.12.1(22) に移行

12.0XH

Vulnerable.12.1(22) に移行

12.0XI

Vulnerable.12.1(22) に移行

12.0XJ

Vulnerable.12.1(22) に移行

12.0XK

Vulnerable.12.2(19)bへの移行が必要

12.0XL

Vulnerable.12.1(22) に移行

12.0XN

Vulnerable.12.1(22) に移行

12.0XQ

Vulnerable.12.1(22) に移行

12.0XR

Vulnerable.12.2(19)bへの移行が必要

12.0XT

Vulnerable.

移行パスなし

12.1 ベースのリリース

リビルド

Interim

メンテナンス

12.1

要素

12.1(22)

NAT

12.1(22)

IPFW

12.1(22)

12.1AA

Vulnerable.12.2(19)bへの移行が必要

12.1AX

脆弱性なし

12.1AY

脆弱性なし

12.1DA

脆弱性なし

12.1DB

脆弱性なし

12.1DC

脆弱性なし

12.1E

要素

12.1(20)E2

NAT

12.1(13)E13、

12.1(20)E2

12.1(8b)E18、12.1(11b)E14、12.1(14)E10、12.1(19)E6 - 2004年1月16日までに入手可能

IPFW

12.1(8b)E16、

12.1(11b)E14、

12.1(13)E12、

12.1(14)E9、

12.1(19)E6、

12.1(20)E2

12.1EA

脆弱性なし

12.1EB

脆弱性なし

12.1EC

脆弱

移行パスなし

修正済みリリースなし

12.1EV

脆弱性なし

12.1EW

脆弱性なし

12.1EX

脆弱性なし

12.1EY

脆弱性なし

12.1EZ

脆弱

まだ移行されていません

再構築の計画なし

12.1T

要素

12.1(5)T17

12.2(19)bへの移行が必要

NAT

12.1(5)T17

12.2(19)bへの移行が必要

IPFW

12.1(5)T17

12.2(19)bへの移行が必要

12.1X(l)

通常、12.1Xリリースは、次に示すように12.1T、12.2、または12.2Tに移行します。移行パスの文書化については、具体的なトレインのテクニカルノートを参照してください。

12.1XA

Vulnerable.12.2(19)bへの移行が必要

12.1XB

Vulnerable.12.2(15)T5への移行が必要

12.1XC

Vulnerable.12.2(19)bへの移行が必要

12.1XD

Vulnerable.12.2(19)bへの移行が必要

12.1XF

脆弱性なし

12.1XG

Vulnerable.12.2(15)T5への移行が必要

12.1XH

Vulnerable.12.2(19)bへの移行が必要

12.1XI

Vulnerable.12.2(19)bへの移行が必要

12.1XJ

Vulnerable.12.2(15)T5への移行が必要

12.1XL

Vulnerable.12.2(15)T5への移行が必要

12.1XM

Vulnerable.12.2(2)XB15への移行が必要

12.1XP

Vulnerable.12.2(15)T5への移行が必要

12.1XQ

Vulnerable.12.2(2)XB15への移行が必要

12.1XR

Vulnerable.12.2(15)T5への移行が必要

12.1XT

Vulnerable.12.2(15)T5への移行が必要

12.1XU

Vulnerable.12.2(4)T6への移行

12.1XV

Vulnerable.12.2(2)XB15への移行が必要

12.1XW

Vulnerable.12.2(15)T5への移行が必要

12.1YB

Vulnerable.12.2(15)T5への移行が必要

12.1YC

Vulnerable.12.2(15)T5への移行が必要

12.1YD

Vulnerable.12.2(15)T5への移行が必要

12.1YE

Vulnerable.12.2(15)T5への移行が必要

12.1YF

Vulnerable.12.2(15)T5への移行が必要

12.1YH

Vulnerable.12.2(15)T5への移行が必要

12.1YI

Vulnerable.12.2(15)T5への移行が必要

12.1YJ

脆弱性なし

12.2 ベースのリリース

リビルド

Interim

メンテナンス

12.2

要素

12.2(10g)、

12.2(13c)、

12.2(16a)

12.2(17)

NAT

12.2(19b)

12.2(21a)

12.2(10g)、12.2(13e)、12.2(16f)、12.2(17d):2004年1月16日までに入手可能

IPFW

脆弱性なし

12.2B

12.3(4)Tへの移行が必要

12.2BC

脆弱性なし

12.2BW

12.2(15)T5への移行が必要

12.3(3e)への移行

12.2BX

脆弱

移行パスなし

12.2BZ

脆弱性なし

12.2CX

脆弱性なし

12.2CY

脆弱性なし

12.2DA

脆弱性なし

12.2DD

Vulnerable.12.3(3e)への移行

12.2DX

Vulnerable.12.3(3e)への移行

12.2JA

脆弱性なし

12.2MB

脆弱性なし

12.2MC

脆弱

リリース予定なし

12.2MX

Vulnerable.12.3(4)T1への移行が必要

12.2S

要素

12.2(14)S3

12.2(18)S

NAT

12.2(14)S7の提供開始：2004年2月23日

12.2(18)S3（2004年1月19日に入手可能）

IPFW

脆弱性なし

12.2SX

要素

12.2(17a)SXA

NAT

12.2(17a)SXA

IPFW

TBD

12.2SY

12.2(14)SY3

12.2SZ

脆弱性なし

12.2T

要素

12.2(4)T6、

12.2(8)T10、

12.2(11)T9、

12.2(13)T5、

12.2(15)T2

12.2T用のメンテナンストレインはこれ以上計画されていません。最新の12.3メインラインリリースに移行してください。

NAT

12.2(4)T6、

12.2(8)T10、

12.2(11)T8、

12.2(13)T3、

12.2(15)T5

12.2T用のメンテナンストレインはこれ以上計画されていません。最新の12.3メインラインリリースに移行してください。

IPFW

12.2(4)T8

12.2T用のメンテナンストレインはこれ以上計画されていません。最新の12.3メインラインリリースに移行してください。

12.2XA

Vulnerable.12.2(11)T9への移行が必要

12.2XB

要素

12.2(2)XB14

NAT

12.2(2)XB14

IPFW

12.2(2)XB15

12.2XC

Vulnerable.12.3(3e)への移行

12.2XD

Vulnerable.12.2(15)T5への移行が必要

12.2XE

脆弱性なし

12.2XF

脆弱性なし

12.2XG

Vulnerable.12.2(8)T10への移行が必要

12.2XH

Vulnerable.12.2(15)T5への移行が必要

12.2XI

Vulnerable.12.2(15)T5への移行が必要

12.2XJ

Vulnerable.12.2(15)T5への移行が必要

12.2XK

Vulnerable.12.2(15)T5への移行が必要

12.2XL

Vulnerable.12.2(15)T5への移行が必要

12.2XM

Vulnerable.12.2(15)T5への移行が必要

12.2XN

Vulnerable.12.2(11)T9への移行が必要

12.2XQ

Vulnerable.12.2(15)T5への移行が必要

12.2XS

Vulnerable.12.2(2)XB15への移行が必要

12.2XT

Vulnerable.12.2(11)T9への移行が必要

12.2XU

Vulnerable.12.2(15)T5への移行が必要

12.2XW

Vulnerable.12.2(15)T5への移行が必要

12.2YA

要素

12.2(4)YA7

NAT

脆弱性なし

IPFW

12.2(4)YA8

12.2YB

Vulnerable.12.2(15)T5への移行が必要

12.2YC

Vulnerable.12.2(15)T5への移行が必要

12.2YD

Vulnerable.12.3(2)T3への移行が必要

12.2YE

Vulnerable.12.2(15)T5への移行が必要

12.2YF

Vulnerable.12.2(15)T5への移行が必要

12.2YG

脆弱性なし

12.2YH

Vulnerable.12.2(15)T5への移行が必要

12.2YJ

Vulnerable.12.2(15)T5への移行が必要

12.2YK

Vulnerable.12.2(13)ZCへの移行が必要

12.2YL

Vulnerable.12.3(2)T3への移行が必要

12.2YM

Vulnerable.12.3(2)T3への移行が必要

12.2YN

Vulnerable.12.3(2)T3への移行が必要

12.2YO

脆弱性なし

12.2YP

脆弱性なし

12.2YQ

脆弱性なし

12.2YR

脆弱性なし

12.2YS

脆弱性なし

12.2YT

Vulnerable.12.2(15)T5への移行が必要

12.2YU

Vulnerable.12.3(4)T1への移行が必要

12.2YV

Vulnerable.12.3(4)T1への移行が必要

12.2YW

要素

12.2(8)YW3

NAT

12.2(8)YW3

IPFW

脆弱性なし

12.2YX

12.2(S)リリース3への移行が必要

または2004年3月12.2(14)SUに移行してください。

12.2YY

脆弱

12.3(2)T3への移行が必要

12.2YZ

Vulnerable.要求に応じてリビルドを利用可能

12.2ZA

脆弱性なし

12.2ZB

脆弱

12.3(2)T3への移行が必要

12.2ZC

脆弱

未計画

12.2ZD

脆弱

移行パスなし

計画された修正はありません

12.2ZE

Vulnerable.12.3(3e)への移行

12.2ZF

Vulnerable.12.2(15)SL1への移行が必要

12.2ZG

脆弱

移行パスなし

計画された修正はありません

12.2ZH

要素

12.2(13)ZH3

NAT

IPFW

脆弱性なし

12.2ZJ

要素

12.2(15)ZJ3

NAT

12.2(15)ZJ2

IPFW

脆弱性なし

12.2ZL

要素

12.2(15)ZL1

NAT

IPFW

脆弱性なし

12.2 ZM

脆弱性なし

12.2ZP

脆弱性なし

12.3 ベースのリリース

リビルド

Interim

メンテナンス

12.3

脆弱性なし

12.3T

要素

H.323エンドポイント/ゲートウェイ/ゲートキーパーの問題に対する脆弱性なし

NAT

12.3(2)T3

12.3(4)T1

IPFW

IOS FWの問題に対して脆弱ではない

Cisco ソフトウェア - 非IOS

すべての場合において、アップグレードするデバイスに十分なメモリが実装されており、現在のハードウェアおよびソフトウェアの構成が新しいソフトウェア リリースでも適切にサポートされていることを確認する必要があります。情報が明確でない場合は、「修正済みソフトウェアの取得」セクションに示されているように、Cisco TACに連絡して支援を求めてください。

- Cisco CallManager

Cisco CallManager のバージョン

最初の修正済み定期リリース

3.1

3.1(4b)spD

3.2

3.2(3)

3.3

3.3(2)spC

3.3(3)

- Cisco Conference Connection

現在、Cisco Conference Connection(CCC)に対するソフトウェア修正は予定されていません。CCCを実行しているお客様は、信頼できるホストからのH.323トラフィックのみを制限する回避策を実装する必要があります。この問題の回避策は、「回避策」セクションで説明されています。

- Cisco Internet Service Node

現在、Cisco Internet Service Node(ISN)に対するソフトウェア修正は計画されていません。ISNを実行しているお客様は、信頼できるホストからのH.323トラフィックのみを制限する回避策を実装する必要があります。この問題の回避策は、「回避策」セクションで説明されています。

- Cisco 7905シリーズIP Phone

これらの不具合は、7905 H.323電話ファームウェアロードのバージョン1.0(1)では解決されています。修正を含むバージョン1.0(1)のイメージ名は、署名されたイメージの場合はcp790501001h323031212a.sbin、署名されていないイメージの場合はcp790501001h323031212a.zupです。

- Cisco ATA18xシリーズアナログテレフォニーデバイス

これらの不具合は、ソフトウェアバージョン3.1.2で解決されています。

- Cisco BTS 10200

Cisco BTS 10200には、バージョン4.1で使用可能なソフトウェア修正が含まれています。BTS 10200を展開したお客様は、「修正済みソフトウェアの入手」セクションの手順に従ってTACに連絡し、修正済みソフトウェアバージョンを入手する必要があります。

不正利用事例と公式発表

Cisco PSIRTでは、このアドバイザリに記載されている脆弱性が悪用された事例は確認していません。

これらの脆弱性は、フィンランドのオウル大学のOUSPGによって開発されたPROTOS H.323テストスイートを、英国政府のCERTであるNISCC Vulnerability Management Teamと協力して使用することで発見されました。

これらの脆弱性はシスコが提供していない他の製品にも存在し、このセキュリティアドバイザリは他の影響を受ける組織からの発表と同時に公開されています。

URL

https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20040113-h323

改訂履歴

リビジョン 1.4

2004年10月8日

「Cisco ATA18xシリーズアナログテレフォニーデバイス」の説明の「詳細」セクションにバグIDを追加。『Cisco ATA18xシリーズアナログテレフォニーデバイスの説明』の「ソフトウェアバージョンと修正」セクションのソフトウェアバージョンを変更。

リビジョン 1.3

2004年1月16日

show process cpuの構文を明確にした。 | include CCH323コマンドを発行します。

リビジョン 1.2

2004年1月15日

「概要」セクションと「該当製品」セクションで該当リリースの性質が明確に説明されています。12.2XB、12.0、12.1、12.2B、12.2S、および12.2EのIOSソフトウェアテーブルを更新しました。「回避策」セクションでIPSec-H323.exeのソフトウェアリンクを更新しました。

リビジョン 1.1

2004年1月14日

「該当製品」セクション：「AS5xxx series platforms」を「PLUS」フィーチャセットのIOSイメージに置き換え、「Cisco IOS Processing of H.323 Traffic」でAS5xxxプラットフォームの説明を削除。「H.323 Endpoints」セクションで更新。「Cisco IOS Processing of H.323 Traffic」セクションで更新。12.2XB、12.1E、12.2および2.0用IOSソフトウェアテーブル更新。 「12.2(19)に移行」のすべての参照を「12.2(19)Bに移行」に変更。「回避策」セクションの「ローカルに信頼されたホストからのH.323トラフィックを制限するWindowsベースのアクセスコントロールリストの定義」セクションを更新。「不正利用と公表」セクションの下で、「UNIRAS」の表記を「NISCC Vulnerability Management Team」に置き換え

リビジョン 1.0

2004年1月13日

初回公開リリース

利用規約

本アドバイザリは無保証のものとしてご提供しており、いかなる種類の保証も示唆するものではありません。 本アドバイザリの情報およびリンクの使用に関する責任の一切はそれらの使用者にあるものとします。 また、シスコは本ドキュメントの内容を予告なしに変更したり、更新したりする権利を有します。

本アドバイザリの記述内容に関して情報配信の URL を省略し、単独の転載や意訳を施した場合、当社が管理した情報とは見なされません。そうした情報は、事実誤認を引き起こしたり、重要な情報が欠落していたりする可能性があります。 このドキュメントの情報は、シスコ製品のエンドユーザを対象としています。